EOS:竞猜类游戏 Fastwin 遭黑客攻击背后：Block.one 官方悄然做了重大更新

12月05日，新上线的又一款EOS竞猜类游戏Fastwin遭到黑客攻击，区块链安全公司PeckShield态势感知平台捕捉到了该攻击行为并率先进行了安全播报披露。数据显示，当天凌晨03:18—04:15之间，黑客向Fastwin游戏合约发起124次攻击，共计获利1,929.17个EOS。PeckShield安全人员分析发现，该攻击行为是黑客利用Fastwin的合约在校验合约调用方时存在的漏洞，导致「内联反射」攻击成功。

据研究，截止11月底，已经发生了超27起EOSDApp安全事件，主要集中在假EOS攻击、随机数问题等攻击方式，且在不断升级演变。而这次看似较小的攻击事件背后却暴露出了一个较以往危害性可能更大的新型漏洞：EOSIO官方系统对调用合约自身函数存在不校验权限的问题。

动态 | 12月共发生20起竞猜类游戏遭攻击事件 总损失超600万元:据 PeckShield 态势感知平台数据显示，过去一个月，EOS公链共计发生20起竞猜类游戏遭黑客攻击事件，开发者共计损失348,204个EOS，以当前价格18元估算总价值超600万元。PeckShield安全人员分析数据发现：1、攻击事件损失超过1万个EOS的有7起，大部分攻击损失均在1,000—10,000个EOS之间；2、安全事件开始影响到包含BetDice、ToBet在内的头部竞猜类游戏，其中BetDice一次损失195,531个EOS，较为惨重；3、除个别项目因私钥泄露和假转账通知等造成的漏洞，黑客主要攻击方式为交易回滚攻击，大部分安全事件和随机数问题有关；4、过去半年，12月份受攻击次数最多，损失额度亦最大环比11月份增长6倍。[2019/1/2]

图一，PeckShield与Block.one邮件沟通

分析 | EOS CPU资源吃紧 竞猜类TOP10游戏消耗全网CPU资源84.15%:随着DApp应用的爆发式增长，EOS主网一直存在CPU资源使用紧张的状况，使得CPU抵押价格存在较大幅度的波动。据 DAppTotal 数据显示，12月12日(昨天)EOS上的CPU资源消耗排行前十的DApp分别为：BetDice、EOS Max、Fastwin、MyEosVegas、ToBet、Fishjoy、EOSJacks、Endless Dice、BIG GAME、BLACKJACK - EOS Poker。其中排名第1位的BetDice CPU消耗量达到了2,345,147.01ms，占全网CPU总消耗的32.32%，Top 10 DApps消耗的CPU占据了全网CPU资源的84.15%，且全部都是竞猜类DApp游戏。受此影响，昨天的CPU抵押价格最高达到了3个EOS每毫秒，意味着玩家玩一次游戏约需要抵押4个EOS（以BetDice为例）。

不难看出，现有CPU资源的上限，可能会成为制约更大规模DApps应用普及的一大因素，DApp开发者需要注意优化CPU资源使用。此前因DApp导致的CPU资源紧张问题，EOS主网已经进行了3次上限调整，最新CPU资源为初始值10%的2.5倍。[2018/12/13]

PeckShield认为这是一个非常严重的漏洞，并第一时间通知了Block.one团队。Block.one官方团队接受了该漏洞提议，并告知我们有其他研究团队也事先独立汇报了该漏洞，最终于周四更新了紧急补丁以补救防御，同时次日新发布1.5.1和1.4.5两个版本，完成了该漏洞修复，避免了更多攻击事件的发生及可能造成的资产损失。

动态 | 慢雾安全团队剖析EOS 合约竞猜类游戏 FFgame 被攻击事件:据慢雾安全团队消息，针对 EOS 合约竞猜类游戏 FFgame 被攻击事件的剖析，慢雾安全团队通过与 FIBOS 创始人响马的交流及复测推测：攻击者通过部署攻击合约并且在合约中使用与 FFgame 相同算法计算随机数，产生随机数后立即在 inline_action 中使用随机数攻击合约，导致中奖结果被“预测”到，从而达到超高中奖率。该攻击者从第一次出现盗币就已经被慢雾监控账户变动，在今日凌晨（11.8 号）已经第一时间将威胁情报同步给相关交易所平台。

慢雾安全团队提醒类似开发者：不要引入可控或可预测随机数种子，任何侥幸都不应该存在。[2018/11/8]

「内联反射(inlineReflex)」攻击原理

正常的转账流程如图所示：玩家通过调用系统合约(eosio.token)，将EOS转账给游戏合约，触发游戏合约的分发逻辑(apply)，进而调用相关函数实现开奖。

图二，竞猜游戏正常转账流程

而此次的攻击者(ha4tsojigyge)，在自己帐号部署的合约中包含了与游戏合约相同的操作函数，在转账完成后，自行开奖获得奖金。如图所示：

图三，攻击者内联调用自身合约开奖

从图中可以看出，攻击者在自身合约的函数中，内联调用了与游戏合约开奖同名的函数，再通过通知的方式将信息发送到了游戏合约。此时游戏合约的分发逻辑没有过滤掉此信息，并调用了开奖函数。

总之，攻击者利用了EOSIO系统中对调用合约自身函数不校验权限的漏洞，进而使用游戏合约的帐号权限发起内联调用，致使绕过游戏合约在敏感函数中校验调用者权限的方法，从而获取了游戏合约发放的奖励。

修复方法

从上述分析能够发现，攻击者合约的通知信息中，实际调用的合约是攻击者合约，而非游戏合约，因此在游戏合约的分发逻辑中过滤掉此类信息即可。而且从系统定义的宏中能够看到，分发逻辑处理了此问题。因此PeckShield在此提醒开发者在定制化自己的分发逻辑时，需要特别注意其中的调用来源。

图四，系统EOSIO_DISPATCH代码

深层次及兼容性问题

需要强调的是：这个问题属于EOS公链层的较大漏洞，攻击者在内联调用中可以伪造任意帐号的权限执行，但这个修复可能会给部分开发者造成兼容性问题，如合约内联调用函数，而执行者帐号不是自己的时候，会导致整个交易执行失败，如需解决兼容性问题请给合约赋予执行者帐号的eosio.code权限。

本文来源于非小号媒体平台：

PeckShield

现已在非小号资讯平台发布1篇作品，

非小号开放平台欢迎币圈作者入驻

入驻指南：

/apply_guide/

本文网址：

/news/3627092.html

游戏链游

免责声明：

1.资讯内容不构成投资建议，投资者应独立决策并自行承担风险

2.本文版权归属原作所有，仅代表作者本人观点，不代表非小号的观点或立场

上一篇：

区块链如何助力数据共享隐私保护？

标签：EOSSHIELDELDSHITHEOSSunShieldZeldaVerseSHIBMETA价格

TRX热门资讯